ReturnUrl en ASP.NET MVC

Question

Actualmente tengo un enlace de conexión en mi aplicación que se ve algo como esto:

<a href="/login?ReturnUrl=" + <%= Request.RawUrl %>>Login</a> 

quiero manejar el comando POST en la página de inicio de sesión en el controlador de la acción a continuación:

[AcceptVerbs(HttpVerbs.Post)] 
public ActionResult Login(string returnUrl) 
{ 
    // Authenticate user 

    return Redirect(returnUrl); 
} 

el problema aquí es si el RawUrl es algo con varios parámetros de URL como "CiertaPágina? param1 = 1 & param2 = 2 & param3 = 3", entonces el ReturnURL que se pasa a la acción de acceso se trunca después de la primera ampersand: "somepage? p aram1 = 1 ".

He intentado con UrlEncoding the RawUrl, pero eso parece marcar la diferencia. Parece que el marco MVC de ASP.NET aquí es UrlDecoding los parámetros de URL antes de asignarlos a los parámetros de acción del controlador, lo que termina eliminando los parámetros de URL adicionales que quiero ver en mi parámetro returnUrl.

¿Hay alguna forma de evitar esto? Sé que podría usar Request.Path y analizar los valores que necesito, pero pensé que primero vería si había un enfoque más limpio.

Answer 1

Probablemente esté codificando los enlaces incorrectamente. Sí, necesitan ser codificados. Aquí está cómo lo hacemos:

<a href="<%= Url.Action("Delete", "TimeRecord", 
    new RouteValueDictionary(new { id = timeRecord.AltId, 
    returnUrl=ViewContext.HttpContext.Request.Url.PathAndQuery })) %>"> 

Answer 2

Bien, su solución tiene un olor a él; No puedo poner mi dedo en un enlace que describa el ataque (tiene que ser un secuestro de sesión de algún tipo), pero redirigir ciegamente a través de una cadena de consulta tiene que ser un agujero de seguridad. Alguien responde o comenta con la información, pls.

Sin pensar en el aspecto de seguridad de esto, una solución rápida sería codificar Base64 entera la url de retorno. Aquí hay un código estoy totalmente ganked de a blog que puede o no puede trabajar:

public static string ToBase64(this HtmlHelper me, string toEncode) 
{ 
     byte[] toEncodeAsBytes 
      = System.Text.ASCIIEncoding.ASCII.GetBytes(toEncode); 
     string returnValue 
      = System.Convert.ToBase64String(toEncodeAsBytes); 
     return returnValue; 
} 

public static string FromBase64(this HtmlHelper me, string encodedData) 
{ 
     byte[] encodedDataAsBytes 
      = System.Convert.FromBase64String(encodedData); 
     string returnValue = 
     System.Text.ASCIIEncoding.ASCII.GetString(encodedDataAsBytes); 
     return returnValue; 
} 

Answer 3

Asegúrese de que la URL codificar RawUrl antes de usarlo.

<%= Url.Encode(Request.RawUrl) %> 

Esto debería hacerlo por usted.